CrowdStrike bekerjasama dengan Google dan agensi keselamatan internet Shadowserver, telah memusnahkan jaringan zombie yang secara khusus menargetkan pembangun perisian sumber terbuka. Jaringan ini telah terus-menerus memanfaatkan akaun pembangun dan saluran pengagihan kod selama dua tahun terakhir untuk menyebarkan program jahat dan mencuri kata laluan.
Menyerang pembangun secara berterusan selama dua tahun
Operasi ini menargetkan rangkaian serangan bernama Glassworm. CrowdStrike menyatakan bahawa serangan sebegini tidak lagi hanya menargetkan produk perisian, tetapi secara langsung menyerang pembangun yang menulis dan menyelenggarakan kod, kerana kegagalan satu peranti pembangun boleh merebak sepanjang rantaian bekalan kepada ramai pengguna dan institusi bawahannya.
More than 300 GitHub repositories compromised
Menurut CrowdStrike, penyerang terutama menyebarkan kod jahat melalui tiga cara, termasuk menerbitkan plugin jahat di pasaran ekstensi yang digunakan oleh pembangun, membeli iklan carian untuk mendorong muat turun, serta mengambil alih akaun pembangun menggunakan maklumat log masuk yang telah dicuri sebelumnya.
- Ekstensi jahat telah dipasarkan di pasaran pembangun
- Iklan carian digunakan untuk merangsang muat turun trojan
- Akaun yang dicuri digunakan untuk memasang kod jahat
Selepas mengambil kawalan akaun, penyerang memasukkan kod jahat ke dalam repositori projek. CrowdStrike menyatakan bahawa lebih daripada 300 repositori GitHub akhirnya tercemar.
Kawalan saluran melibatkan perkhidmatan seperti Solana
CrowdStrike menyatakan bahawa empat saluran komando dan kawalan yang digunakan oleh Glassworm telah diputuskan, melemahkan kemampuan penyerang untuk mengakses peranti yang terjejas serta menghalang mereka daripada menurunkan lebih banyak program jahat.
Laporan tersebut menyatakan bahawa infrastruktur kawalan ini bergantung kepada beberapa saluran, termasuk blokchain Solana, rangkaian titik-ke-titik BitTorrent, Google Calendar, serta pelayan maya peribadi. Namun, laporan itu tidak menjelaskan sama ada operasi ini dilaksanakan berdasarkan kuasa undang-undang tertentu atau cara teknikal apa.
Serangan sejenis baru-baru ini terus berlaku
Dalam beberapa bulan terakhir, serangan rantai pasokan terhadap projek sumber terbuka dan pembangun terus meningkat. TechCrunch menyebutkan, minggu lalu satu siri serangan lain bernama Mini Shai-Hulud menyerang pelbagai projek sumber terbuka dan menghantar kemas kini jahat, di mana seorang pembangun OpenAI turut terjejas.
Maklumat tambahan: Laporan itu juga menyebut bahawa serangan rantai bekalan lain berlaku pada Mac tahun ini, di mana peretas yang dicurigai berkaitan dengan Korea Utara menunjukkan bahawa akaun pembangun dan saluran pengedaran sumber terbuka kini menjadi sasaran utama serangan.